Asociacija ir viešoji įstaiga: narių, savanorių ir rėmėjų duomenys pagal BDAR
Nedidelė asociacija ar viešoji įstaiga tvarko daugiau asmens duomenų, nei atrodo: narių ar dalininkų sąrašą, savanorių sutartis, rėmėjų apskaitą, paramos gavėjų sąrašus. Bendrasis duomenų apsaugos reglamentas (toliau – BDAR) taikomas tvarkymui automatizuotomis priemonėmis ir susistemintiems popieriniams rinkiniams (BDAR 2 str. 1 d.). Kam jis taikomas, rašome straipsnyje Kam taikomas BDAR: įmonės, įstaigos, asociacijos ir užsienio verslas. Čia – ką Lietuvos įstatymai liepia turėti, kam tai rodyti ir ko neskelbti, kada…
Skaityti daugiau: Asociacija ir viešoji įstaiga: narių, savanorių ir rėmėjų duomenys pagal BDARBuhalterinės apskaitos įmonė pagal BDAR: duomenų tvarkytoja ar valdytoja
Įmonė, kuri kitoms bendrovėms tvarko buhalterinę apskaitą ir skaičiuoja darbo užmokestį, mato daug asmens duomenų: darbuotojų asmens kodus, atlyginimus, banko sąskaitas, nedarbingumo dienas, pirkėjų ir tiekėjų vardus sąskaitose faktūrose. Bendrajam duomenų apsaugos reglamentui (toliau – BDAR) svarbu ne tai, kiek duomenų ji mato, o tai, kas nustato jų tvarkymo tikslus ir priemones. Tas, kas nustato, yra duomenų valdytojas (BDAR 4 str. 7 p.). Tas, kas tvarko duomenis valdytojo vardu, yra…
Skaityti daugiau: Buhalterinės apskaitos įmonė pagal BDAR: duomenų tvarkytoja ar valdytojaNekilnojamojo turto agentūra ir BDAR: kliento tapatybė ir dokumentai
Nekilnojamojo turto agentas (brokeris) yra įpareigotasis subjektas pagal Lietuvos Respublikos pinigų plovimo ir teroristų finansavimo prevencijos įstatymą (toliau – PPTFPĮ). Įstatymas jį įvardija tarp kitų įpareigotųjų subjektų, kai jis veikia kliento vardu arba padeda klientui pirkti ar parduoti nekilnojamąjį turtą (PPTFPĮ 2 str. 10 d. 9 p.). Kai agentas tarpininkauja nuomojant, įstatymas jam taikomas tik tada, kai mėnesinis nuomos mokestis siekia ar viršija dešimt tūkstančių eurų (PPTFPĮ 2 str. 10…
Skaityti daugiau: Nekilnojamojo turto agentūra ir BDAR: kliento tapatybė ir dokumentaiAnonimizuoti duomenys: kada BDAR nebetaikomas
Organizacija ketina „anonimizuoti“ duomenis, kad galėtų juos naudoti statistikai, perduoti partneriui, saugoti pasibaigus terminui ar įkelti į dirbtinio intelekto (DI) įrankį. Bendrasis duomenų apsaugos reglamentas (toliau – BDAR) taikomas asmens duomenų tvarkymui (BDAR 2 str. 1 d.), bet ne anoniminei informacijai (BDAR 26 konstatuojamoji dalis). Jei žmogaus tapatybę galima nustatyti priemonėmis, kurias pagrįstai tikėtina naudoti, tai vis dar asmens duomenys, ir jiems taikomas BDAR (BDAR 4 str. 1 p., BDAR…
Skaityti daugiau: Anonimizuoti duomenys: kada BDAR nebetaikomasVDAI bauda ar papeikimas: ką sako naujos EDAV gairės 04/2026
Ne kiekvienas Bendrojo duomenų apsaugos reglamento (toliau – BDAR) pažeidimas baigiasi bauda. Priežiūros institucija gali pareikšti papeikimą, duoti nurodymą, apriboti ar uždrausti duomenų tvarkymą (BDAR 58 str. 2 d.). Baudą ji skiria kartu su šiomis priemonėmis arba vietoj jų, atsižvelgdama į konkretaus atvejo aplinkybes (BDAR 58 str. 2 d. i p.; BDAR 83 str. 2 d.). Nedidelio pažeidimo atveju vietoj baudos gali būti pareikštas papeikimas (BDAR 148 konstatuojamoji dalis). 2026…
Skaityti daugiau: VDAI bauda ar papeikimas: ką sako naujos EDAV gairės 04/2026Savivaldybės įstaiga ir BDAR: muziejus, biblioteka, globos namai
Savivaldybės biblioteka, valstybės ar savivaldybės muziejus ir socialinės globos įstaiga turi vieną bendrą bruožą. Bendrojo duomenų apsaugos reglamento (toliau – BDAR) požiūriu jos gali būti valdžios institucijos ar įstaigos. Tai lemia tris dalykus: duomenų apsaugos pareigūnas privalomas (BDAR 37 str. 1 d. a p.), teisėtu interesu vykdant savo užduotis remtis negalima (BDAR 6 str. 1 d. paskutinė pastraipa), o baudų ribas nustato ne tik BDAR, bet ir Lietuvos įstatymas. Mokykloms…
Skaityti daugiau: Savivaldybės įstaiga ir BDAR: muziejus, biblioteka, globos namaiE. parduotuvės duomenų saugumas: ko reikalauja BDAR ir ką rekomenduoja VDAI
E. parduotuvė tvarko pirkėjų vardus, adresus, telefono numerius, užsakymų ir mokėjimų informaciją. Bendrasis duomenų apsaugos reglamentas (toliau – BDAR) reikalauja, kad šie duomenys būtų apsaugoti nuo tvarkymo be leidimo, praradimo ir sugadinimo (BDAR 5 str. 1 d. f p.). Atsakomybė tenka tam, kas nustato, kokiais tikslais ir priemonėmis tvarkomi duomenys, t. y. duomenų valdytojui (BDAR 4 str. 7 p., 24 str. 1 d.), net jei svetainę sukūrė ir prižiūri kiti.…
Skaityti daugiau: E. parduotuvės duomenų saugumas: ko reikalauja BDAR ir ką rekomenduoja VDAIBDAR mokymai darbuotojams: ar jie privalomi ir ką turi apimti
Nė vienas Bendrojo duomenų apsaugos reglamento (toliau – BDAR) straipsnis nesako „mokykite darbuotojus“. Tačiau keli straipsniai kartu reikalauja priemonių, kurių be mokymų sunku įvykdyti ir įrodyti. Duomenų valdytojas atsako už tai, kad būtų laikomasi duomenų tvarkymo principų, ir turi sugebėti tai įrodyti (BDAR 5 str. 2 d.). Jis įgyvendina tinkamas organizacines priemones, kad galėtų įrodyti, jog duomenys tvarkomi pagal reglamentą (BDAR 24 str. 1 d.). Be to, jis turi imtis…
Skaityti daugiau: BDAR mokymai darbuotojams: ar jie privalomi ir ką turi apimtiDuomenų apsaugos pareigūno paslaugos viešajame pirkime: ką numatyti perkančiajai organizacijai
Bendrasis duomenų apsaugos reglamentas (toliau – BDAR) leidžia pareigūną turėti savo darbuotoją arba pirkti paslaugą: pareigūnas gali atlikti užduotis pagal paslaugų teikimo sutartį (BDAR 37 str. 6 d.). Perkančioji organizacija tokią paslaugą perka pagal Viešųjų pirkimų įstatymą (toliau – VPĮ). VPĮ nustato, kaip pirkti. BDAR nustato, ką nupirkti: ne dokumentų rinkinį, o pareigūno funkciją su BDAR nustatytomis garantijomis ir užduotimis (BDAR 38 ir 39 str.). Jei perkančioji organizacija yra valdžios…
Skaityti daugiau: Duomenų apsaugos pareigūno paslaugos viešajame pirkime: ką numatyti perkančiajai organizacijaiAsmens duomenų apsauga mokykloje: kada privalomas duomenų apsaugos pareigūnas
Valstybinė ar savivaldybės mokykla, mūsų vertinimu, privalo turėti duomenų apsaugos pareigūną. Tai lemia ne mokinių skaičius ir ne tai, kokius duomenis ji tvarko, o tai, kas ji yra. Bendrasis duomenų apsaugos reglamentas (toliau – BDAR) pareigą sieja su valdžios institucija ar įstaiga (BDAR 37 str. 1 d. a p.), o šią sąvoką Lietuvoje apibrėžia Asmens duomenų teisinės apsaugos įstatymas (toliau – ADTAĮ) 2 str. 2 d. Nevalstybinei mokyklai atsakymas nėra…
Skaityti daugiau: Asmens duomenų apsauga mokykloje: kada privalomas duomenų apsaugos pareigūnasAsmens duomenų apsauga gydymo įstaigoje: kada privalomas duomenų apsaugos pareigūnas
Gydymo įstaiga kasdien tvarko sveikatos duomenis. Bendrasis duomenų apsaugos reglamentas (toliau – BDAR) juos priskiria specialiai kategorijai, kurią tvarkyti iš principo draudžiama (BDAR 9 str. 1 d.). Todėl asmens duomenų apsauga sveikatos priežiūros įstaigose turi griežtesnį rėmą nei kitur. Ligoninei duomenų apsaugos pareigūnas privalomas: pacientų duomenų tvarkymas yra jos pagrindinė veikla ir vyksta dideliu mastu (BDAR 37 str. 1 d. c p.). Valstybės ar savivaldybės gydymo įstaigai pareiga gali kilti…
Skaityti daugiau: Asmens duomenų apsauga gydymo įstaigoje: kada privalomas duomenų apsaugos pareigūnasPokalbių robotas svetainėje: ką reikalauja DI akto 50 straipsnis
Nuo 2026 m. rugpjūčio 2 d. žmogus, kuris svetainėje rašo dirbtinio intelekto (DI) pokalbių robotui, turi būti informuotas, kad kalbasi ne su žmogumi, nebent tai akivaizdu. Tai nustato Reglamentas (ES) 2024/1689 dėl dirbtinio intelekto (toliau – DI aktas): tiekėjai užtikrina, kad DI sistemos, skirtos tiesiogiai sąveikauti su žmonėmis, būtų suprojektuotos taip, kad žmonės apie tai būtų informuojami (DI akto 50 str. 1 d.). DI aktas nuo šios dienos taikomas bendrai…
Skaityti daugiau: Pokalbių robotas svetainėje: ką reikalauja DI akto 50 straipsnisSveikatos duomenys darbe: ką darbdavys gali žinoti
Darbdavys gali tvarkyti darbuotojo sveikatos duomenis tik tada, kai taikoma BDAR 9 str. 2 d. išimtis. Darbo santykiuose tai dažniausiai darbo ar darbuotojų saugos teisės nustatyta pareiga ar darbuotojo teisė (BDAR 9 str. 2 d. b p.). Sveikatą vertina ne darbdavys, o sveikatos priežiūros įstaiga; darbdavys gauna jos išvadą (DSSĮ 21 str. 5 d., 25 str. 1 d. 10 p.). BDAR tokiam tvarkymui reikalauja, kad duomenis tvarkytų profesinę paslaptį saugoti…
Skaityti daugiau: Sveikatos duomenys darbe: ką darbdavys gali žinotiSlapukai ir sutikimo juosta: ko reikalauja ERĮ ir BDAR
Saugoti informaciją lankytojo įrenginyje arba ją iš ten skaityti galima tik gavus jo sutikimą, prieš tai aiškiai ir išsamiai jį informavus, taip pat apie tikslus (ERĮ 73 str. 4 d.). Įstatymas numato tik dvi išimtis: kai tai daroma vien tam, kad informacija būtų perduota tinklu, ir kai to būtinai reikia paties žmogaus užsakytai paslaugai suteikti. Analitikos, reklamos ir socialinių tinklų žymos į šias išimtis paprastai nepatenka. Sutikimas turi atitikti BDAR…
Skaityti daugiau: Slapukai ir sutikimo juosta: ko reikalauja ERĮ ir BDARPrašymas ištrinti duomenis: kada privaloma, o kada galima atsisakyti
Duomenis ištrinti privaloma, kai žmogus to prašo ir yra bent viena BDAR 17 str. 1 d. nurodyta priežastis, dažniausiai: duomenų nebereikia tikslui, žmogus atšaukė sutikimą ir kito pagrindo nėra, jis nesutinka su tvarkymu, o Jūsų priežastys nėra viršesnės arba tai tiesioginė rinkodara, arba duomenys tvarkomi neteisėtai. Atsisakyti galima tiek, kiek duomenis tvarkyti vis dar būtina, pavyzdžiui, kad būtų įvykdyta įstatymo nustatyta prievolė arba apginti teisiniai reikalavimai (BDAR 17 str. 3…
Skaityti daugiau: Prašymas ištrinti duomenis: kada privaloma, o kada galima atsisakytiPranešėjų kanalas ir asmens duomenys: ką reikalauja PAĮ ir BDAR
Vidinis pranešimų apie pažeidimus kanalas yra asmens duomenų tvarkymas nuo pirmo pranešimo: jame yra pranešėjo, asmens, apie kurį pranešta, ir liudytojų duomenys. Pranešėjų apsaugos įstatymas (PAĮ) reikalauja užtikrinti ir pranešėjo, ir su pažeidimu susijusių asmenų konfidencialumą (PAĮ 16 str. 2 d.). Tapatybę leidžiančius nustatyti duomenis galima pateikti tik tam, kas nagrinėja informaciją (PAĮ 9 str. 3 d.). Informacija saugoma ne trumpiau kaip penkerius metus nuo paskutinio sprendimo (PAĮ 7 str.…
Skaityti daugiau: Pranešėjų kanalas ir asmens duomenys: ką reikalauja PAĮ ir BDARDI įrankiai ir asmens duomenys darbe: ką leidžia teisė ir kur rizika
Kai darbuotojas į dirbtinio intelekto (DI) įrankį įkelia kliento ar kolegos duomenis, atsako organizacija. Ji yra duomenų valdytojas, nes ji nustato, kokiu tikslu ir kokiomis priemonėmis duomenys tvarkomi (BDAR 4 str. 7 p.). Todėl DI įrankiui reikia to paties, ko reikia bet kuriam tvarkymui: aiškaus tikslo, teisinio pagrindo, sutarties su tiekėju ir, kai rizika didelė, poveikio duomenų apsaugai vertinimo. DI aktas – Reglamentas (ES) 2024/1689 – BDAR nepakeičia. Jis pats…
Skaityti daugiau: DI įrankiai ir asmens duomenys darbe: ką leidžia teisė ir kur rizikaDarbuotojui išėjus: pašto dėžutė, failai, paskyros ir jo duomenys
Darbuotojui išėjus, darbo pašto dėžutė, failai ir paskyros lieka darbdaviui, tačiau juose esantys duomenys netampa laisvai naudojami. Darbdavys gali pasilikti tai, ko reikia darbui tęsti ir teisinėms prievolėms vykdyti. Kartu jis turi nutraukti buvusio darbuotojo prieigas, neskaityti jo asmeninės korespondencijos (CK 2.23 str. 2 d.; DK 27 str. 2 d.) ir nelaikyti jo dėžutės veikiančios neribotai (BDAR 5 str. 1 d. e p.). Dokumentai, kurių rengimą nustato teisės aktai, saugomi…
Skaityti daugiau: Darbuotojui išėjus: pašto dėžutė, failai, paskyros ir jo duomenysBiometriniai duomenys darbe: pirštų atspaudai ir veido atpažinimas
Pirštų atspaudų ar veido skaitytuvas, kuriuo darbuotojas atpažįstamas prie durų, darbo laiko terminalo ar kompiuterio, tvarko biometrinius duomenis (BDAR 4 str. 14 p.). Kai jais siekiama konkrečiai nustatyti asmens tapatybę, tai specialių kategorijų duomenys, kuriuos tvarkyti draudžiama, nebent taikoma viena iš BDAR 9 str. 2 d. išimčių (BDAR 9 str. 1 d.). Darbo santykiuose tinkamą išimtį rasti sunku: nei Asmens duomenų teisinės apsaugos įstatymas (ADTAĮ), nei Darbo kodeksas biometrinių duomenų…
Skaityti daugiau: Biometriniai duomenys darbe: pirštų atspaudai ir veido atpažinimasBendri duomenų valdytojai: ką turi numatyti susitarimas ir kas atsako
Kai dvi organizacijos kartu nustato duomenų tvarkymo tikslus ir priemones, jos yra bendri duomenų valdytojai ir privalo tarpusavio susitarimu nustatyti, kas už kurią BDAR prievolę atsako (BDAR 26 str. 1 d.). Esmines susitarimo nuostatas turi galėti sužinoti ir žmonės (BDAR 26 str. 2 d.). Tačiau susitarimas saisto tik pačias šalis: žmogus savo teises gali įgyvendinti prieš kiekvieną iš jų (BDAR 26 str. 3 d.), o už žalą kiekviena atsako visa…
Skaityti daugiau: Bendri duomenų valdytojai: ką turi numatyti susitarimas ir kas atsakoAsmens kodas ir dokumento kopija: ko galima prašyti kliento
Kliento asmens kodą galima tvarkyti tik tada, kai tam yra vienas iš BDAR 6 straipsnyje nurodytų pagrindų (ADTAĮ 3 str. 1 d.). Asmens kodo negalima skelbti viešai (ADTAĮ 3 str. 2 d.) ir negalima naudoti tiesioginei rinkodarai (ADTAĮ 3 str. 3 d.). Net ir turint pagrindą, kodo prašoma tik tada, kai jo tikrai reikia konkrečiam tikslui (BDAR 5 str. 1 d. c p.). Asmens dokumento kopija klientų atveju paprastai nereikalinga:…
Skaityti daugiau: Asmens kodas ir dokumento kopija: ko galima prašyti klientoVaizdo įrašo prašymas: kam ir ką privaloma pateikti
Vaizdo įrašo gali prašyti trys skirtingi asmenys, ir kiekvienam taikoma kita taisyklė. Nufilmuotas žmogus turi teisę gauti savo duomenų kopiją (BDAR 15 str. 3 d.) ne vėliau kaip per vieną mėnesį (BDAR 12 str. 3 d.), bet kitų kadre esančių žmonių duomenys turi būti apsaugoti (BDAR 15 str. 4 d.). Ikiteisminio tyrimo pareigūnas, prokuroras ir teismas turi teisę reikalauti pateikti daiktus ir dokumentus (BPK 97 str.), o vaizdo įrašas įstatyme…
Skaityti daugiau: Vaizdo įrašo prašymas: kam ir ką privaloma pateiktiSutikimas pagal BDAR: kada jo reikia ir kada jis negalioja
Sutikimo reikia tada, kai duomenų nereikia nei sutarčiai vykdyti, nei įstatymo prievolei įvykdyti, o kitas pagrindas netinka arba įstatymas sutikimo reikalauja tiesiogiai, pavyzdžiui, reklamai el. paštu fiziniams asmenims (ERĮ 81 str. 1 d.). Savo klientams, kurių el. pašto adresą gavote parduodami prekes ar teikdami paslaugas, panašių savo prekių ar paslaugų reklamą el. paštu galima siųsti ir be sutikimo, jei galimybė atsisakyti suteikta renkant adresą ir kiekvienoje žinutėje (ERĮ 81 str.…
Skaityti daugiau: Sutikimas pagal BDAR: kada jo reikia ir kada jis negaliojaPrašymas susipažinti su duomenimis: terminas ir atsakymas
Į prašymą susipažinti su asmens duomenimis reikia atsakyti nepagrįstai nedelsiant, bet ne vėliau kaip per vieną mėnesį nuo jo gavimo (BDAR 12 str. 3 d.). Atsakymą sudaro trys dalys: patvirtinimas, ar žmogaus duomenys tvarkomi, jų kopija ir informacija apie tvarkymą (BDAR 15 str. 1 d., BDAR 15 str. 3 d.). Pirmoji kopija pateikiama be jokio mokesčio. Mokestį galima imti tik už papildomas kopijas arba kai prašymas akivaizdžiai nepagrįstas ar neproporcingas,…
Skaityti daugiau: Prašymas susipažinti su duomenimis: terminas ir atsakymasKliento BDAR klausimynas tiekėjui: ką privaloma atsakyti
Jei klientui tvarkote asmens duomenis, turite jam pateikti visą informaciją, būtiną įrodyti, kad vykdote BDAR 28 straipsnio prievoles, ir sudaryti sąlygas auditui bei patikrinimams – tai privaloma duomenų tvarkymo sutarties sąlyga (BDAR 28 str. 3 d. h p.). Todėl į klausimyną, kiek jis liečia šią informaciją, atsakyti privalote. Tačiau ši pareiga apima tvarkymą to kliento vardu, o ne viską, ko klausime paprašyta. Saugumui jautrius dokumentus galima siūlyti pakeisti kitu įrodymu,…
Skaityti daugiau: Kliento BDAR klausimynas tiekėjui: ką privaloma atsakytiDuomenų tvarkymo sutartis: kada privaloma ir kas gresia be jos
Kai paslaugų teikėjas tvarko asmens duomenis Jūsų vardu, tai turi būti reglamentuota duomenų tvarkymo sutartimi, nebent tvarkymą jau reglamentuoja kitas Sąjungos ar valstybės narės teisės aktas (BDAR 28 str. 3 d.). Ji sudaroma raštu, bet tinka ir elektroninė forma (BDAR 28 str. 9 d.). Pareiga tenka abiem šalims: Europos duomenų apsaugos valdyba (EDPB) sutarties nebuvimą laiko BDAR pažeidimu, už kurį bauda gali būti skirta ir valdytojui, ir tvarkytojui. Sutarties pagal…
Skaityti daugiau: Duomenų tvarkymo sutartis: kada privaloma ir kas gresia be josDuomenų teikimas partneriui: valdytojas, tvarkytojas ar bendri
Prieš perduodant asmens duomenis kitai įmonei, reikia nustatyti, kas ji bus tų duomenų atžvilgiu. Jei ji tvarko duomenis Jūsų vardu ir pagal Jūsų nurodymus, ji yra duomenų tvarkytoja. Jei naudoja duomenis savo tikslais, ji yra atskiras duomenų valdytojas. Jei tikslus ir priemones nustatote kartu, esate bendri duomenų valdytojai (BDAR 26 str. 1 d.). Vaidmenį lemia faktai, o ne sutarties pavadinimas. Nuo atsakymo priklauso trys dalykai: ar pačiam duomenų atskleidimui reikia…
Skaityti daugiau: Duomenų teikimas partneriui: valdytojas, tvarkytojas ar bendriDarbuotojų stebėsena: kameros, GPS, skambučiai ir el. paštas
Darbdavys gali stebėti darbuotojus, bet ne be ribų. Stebėsena turi turėti konkretų tikslą, teisinį pagrindą ir būti proporcinga. Apie ją darbuotojai turi būti informuoti iš anksto ir pasirašytinai ar kitu informavimo faktą įrodančiu būdu, pateikiant visą BDAR 13 str. 1 ir 2 d. nurodytą informaciją (ADTAĮ 5 str. 4 d.; BDAR 13 str. 1 d.). Darbuotojų stebėsenai VDAI reikalauja atlikti poveikio duomenų apsaugai vertinimą. Asmeninio susižinojimo slaptumas lieka saugomas ir…
Skaityti daugiau: Darbuotojų stebėsena: kameros, GPS, skambučiai ir el. paštasDarbuotojų informavimas apie duomenų tvarkymą: ką ir kada pasakyti
Darbdavys privalo pasakyti darbuotojui, kas tvarko jo duomenis, kokiais tikslais ir pagrindais, kam juos perduoda, kiek laiko saugo ir kokias teises darbuotojas turi. Tai daroma tada, kai duomenys gaunami (BDAR 13 str. 1 d.), paprastai jau priimant į darbą. Informacija turi būti glausta, suprantama ir lengvai prieinama (BDAR 12 str. 1 d.). Kai duomenys gaunami ne iš paties darbuotojo, informuoti reikia per pagrįstą laiką, bet ne vėliau kaip per vieną…
Skaityti daugiau: Darbuotojų informavimas apie duomenų tvarkymą: ką ir kada pasakytiDarbuotojo nuotrauka svetainėje ir socialiniuose tinkluose
Darbuotojo nuotrauką įmonės svetainėje, socialiniuose tinkluose ar reklamoje praktiškai saugu skelbti tik gavus jo sutikimą. Tai lemia ne vien BDAR. Civilinis kodeksas atskirai nustato, kad asmens nuotrauka gali būti demonstruojama ir spausdinama tik jo sutikimu (CK 2.22 str. 1 d.). Kai darbuotojas sutikimą atšaukia arba baigiasi sutikime nurodytas terminas, pavyzdžiui, darbo santykiai, nuotrauką iš svetainės ir paskyrų reikia pašalinti. Kodėl čia sutikimas tinka, nors darbo santykiuose beveik niekada, paaiškinome straipsnyje…
Skaityti daugiau: Darbuotojo nuotrauka svetainėje ir socialiniuose tinkluoseBDAR saugumo priemonės: ko iš tikrųjų reikalauja 32 straipsnis
BDAR nepateikia privalomų saugumo priemonių sąrašo. Jis reikalauja, kad duomenų valdytojas ir duomenų tvarkytojas įgyvendintų tinkamas technines ir organizacines priemones, kurios užtikrintų pavojų atitinkančio lygio saugumą (BDAR 32 str. 1 d.). Kas yra tinkama, priklauso nuo rizikos: kokie duomenys, kiek jų, kaip jie tvarkomi ir kas nutiktų žmonėms, jei jie nutekėtų ar dingtų. Be to, valdytojas turi gebėti įrodyti, kad laikosi reikalavimų (BDAR 5 str. 2 d.). Praktiškai tai reiškia…
Skaityti daugiau: BDAR saugumo priemonės: ko iš tikrųjų reikalauja 32 straipsnisGavote VDAI raštą ar paklausimą: ką jis reiškia ir ką daryti
Valstybinės duomenų apsaugos inspekcijos (VDAI) raštas gali būti paklausimas, priminimas, pranešimas apie tyrimą arba sprendimas. Paklausimas nėra sprendimas, kad padarėte pažeidimą. Tačiau jeigu rašte prašoma informacijos ar dokumentų, atsakyti privaloma: asmenys privalo vykdyti priežiūros institucijos reikalavimus ir nedelsdami pateikti informaciją, paaiškinimus ir dokumentų kopijas (ADTAĮ 14 str.). Duomenų valdytojams ir tvarkytojams pareigą gavus prašymą bendradarbiauti su priežiūros institucija nustato ir reglamentas (BDAR 31 str.). Kaip žingsnis po žingsnio parengti patį…
Skaityti daugiau: Gavote VDAI raštą ar paklausimą: ką jis reiškia ir ką darytiTiesioginė rinkodara el. paštu ir SMS: kada reikia sutikimo
Siųsti reklamą el. paštu ar SMS žinute fiziniam asmeniui galima tik gavus jo išankstinį sutikimą. Yra viena išimtis savo klientams. Jei el. pašto adresą gavote parduodami prekę ar paslaugą klientui, kuris yra fizinis asmuo, galite siūlyti jam savo panašias prekes ar paslaugas, jei jis gali atsisakyti ir renkant adresą, ir kiekviename laiške. Juridiniams asmenims išankstinio sutikimo nebereikia, bet jiems turi būti suteikta aiški, lengva ir be jokio mokesčio galimybė atsisakyti.…
Skaityti daugiau: Tiesioginė rinkodara el. paštu ir SMS: kada reikia sutikimoTeisėtas interesas: kada jo užtenka ir kada ne
Teisėto intereso užtenka, kai įvykdytos trys sąlygos: turite konkretų teisėtą interesą, duomenų tvarkymas jam iš tikrųjų būtinas, o žmogaus interesai ir teisės nėra viršesni (BDAR 6 str. 1 d. f p.). EDPB rekomenduoja vertinimą atlikti prieš pradedant tvarkyti duomenis ir jį užrašyti, nes valdytojas turi gebėti įrodyti, kad laikosi reikalavimų (BDAR 5 str. 2 d.). Teisėto intereso neužtenka, kai įstatymas reikalauja sutikimo, pavyzdžiui, elektroninei rinkodarai fiziniams asmenims, kai tvarkomi specialių…
Skaityti daugiau: Teisėtas interesas: kada jo užtenka ir kada nePrivatumo politika: ar ji privaloma ir kada ją reikia atnaujinti
Įstatymas nereikalauja turėti dokumento, kuris vadintųsi „privatumo politika“. Jis reikalauja kitko: informuoti žmones, kai renkate jų duomenis. BDAR 13 str. 1 d. nustato, kad informacija pateikiama duomenų gavimo metu, o BDAR 12 str. 1 d. – kad ji turi būti glausta, skaidri, suprantama ir lengvai prieinama. Jei svetainė renka bet kokius duomenis – per formą, paskyrą ar analitikos įrankį – praktiškai vienintelis būdas šią pareigą įvykdyti yra viešas tekstas. Jį…
Skaityti daugiau: Privatumo politika: ar ji privaloma ir kada ją reikia atnaujintiKandidatų CV ir dokumentų kopijos: ką darbdavys gali laikyti
Atrankoje nelaimėjusių kandidatų CV reikia ištrinti, kai atranka baigiasi ir darbuotojas pasirinktas. Ilgiau juos saugoti būsimoms atrankoms galima tik kandidatui sutikus ir tik sutikime nurodytą laiką. Trumpam, pagrįstam laikotarpiui galima pasilikti tik tai, ko reikia galimam ginčui dėl šios atrankos – tai atskiras tikslas, kurį reikia užrašyti. Darbuotojų ir kandidatų asmens tapatybės dokumentų kopijos paprastai yra perteklinės. Dokumentą galima paprašyti parodyti, bet kopijos daryti ir saugoti nereikia, nebent to reikalauja…
Skaityti daugiau: Kandidatų CV ir dokumentų kopijos: ką darbdavys gali laikytiKam taikomas BDAR: įmonės, įstaigos, asociacijos ir užsienio verslas
BDAR taikomas kiekvienam, kas tvarko asmens duomenis: įmonei, individualią veiklą vykdančiam žmogui, asociacijai, bendrijai, viešajai įstaigai ir valstybės institucijai. Įmonės dydis, apyvarta ir darbuotojų skaičius taikymo nenulemia. Trumpai: visos įmonės, kurios tvarko asmens duomenis, nepriklausomai nuo jų dydžio, turi atitikti BDAR. Reglamento netaiko ne mažumas, o veiklos pobūdis. Pagrindinė išimtis žmonėms yra grynai asmeninė ar namų ūkio veikla. Teisėsaugos institucijoms, kai jos tiria ir persekioja nusikalstamas veikas, taikomos atskiros taisyklės.…
Skaityti daugiau: Kam taikomas BDAR: įmonės, įstaigos, asociacijos ir užsienio verslasDuomenų saugumo pažeidimas: kada pranešti VDAI ir žmonėms
Kiekvienas asmens duomenų saugumo pažeidimas turi būti įrašytas į Jūsų pažeidimų žurnalą. Valstybinei duomenų apsaugos inspekcijai (VDAI) pranešama nepagrįstai nedelsiant ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo sužinojimo, nebent pažeidimas neturėtų kelti pavojaus žmonių teisėms ir laisvėms. Patiems žmonėms pranešama tik tada, kai pavojus didelis. Tai trys atskiri sprendimai, ir kiekvieną verta užrašyti su motyvais. Per klaidą ne tam gavėjui išsiųstas laiškas taip pat yra pažeidimas. Trumpą…
Skaityti daugiau: Duomenų saugumo pažeidimas: kada pranešti VDAI ir žmonėmsDuomenų perdavimas už EEE ribų: kada reikia standartinių sąlygų
Asmens duomenis, taip pat darbuotojų, perduoti už Europos ekonominės erdvės (EEE) ribų galima. Tačiau tik laikantis BDAR V skyriaus sąlygų (BDAR 44 str.). Tvarka visada ta pati. Pirmiausia tikrinama, ar Europos Komisija gavėjo šaliai priėmė sprendimą dėl tinkamumo. Jei ne, reikia tinkamų apsaugos priemonių, dažniausiai standartinių duomenų apsaugos sąlygų (SCC), ir, kaip nurodo EDPB, raštu atlikto paskirties šalies teisės vertinimo. Išimtys pagal BDAR 49 str. skirtos tik pavieniams atvejams. Sunkiausia…
Skaityti daugiau: Duomenų perdavimas už EEE ribų: kada reikia standartinių sąlygųDuomenų apsaugos koordinatorius ir pareigūnas: kuo jie skiriasi
Duomenų apsaugos koordinatorius yra Jūsų organizacijos vidaus pareigybė, o ne BDAR sąvoka. Reglamente tokio žodžio nėra, ir jis koordinatoriui nieko nepaveda. Koordinatorius daro tai, ką jam pavedate Jūs: tvarko įrašus, priima žmonių prašymus, pildo pažeidimų žurnalą, primena kolegoms taisykles. Už BDAR prievolių vykdymą atsako organizacija, ne jis. Duomenų apsaugos pareigūnas yra kas kita. Tai reglamento nustatyta funkcija, kuri turi nepriklausomumą, apsaugą nuo atleidimo už savo darbą ir viešai paskelbtus kontaktus.…
Skaityti daugiau: Duomenų apsaugos koordinatorius ir pareigūnas: kuo jie skiriasiAsmens duomenys paskelbti be sutikimo: ką daryti ir ko reikalauti
Jeigu kitas žmogus ar organizacija viešai paskelbė Jūsų vardą, nuotrauką ar kitus duomenis, pavyzdžiui, atviroje socialinio tinklo grupėje, Jūs turite kelis kelius. Galite reikalauti duomenis ištrinti, pranešti platformai, pateikti skundą Valstybinei duomenų apsaugos inspekcijai (VDAI) ir kreiptis į teismą dėl žalos. Du dalykai svarbūs iš karto. Pirma, ne kiekvienas paskelbimas be sutikimo yra neteisėtas: sutikimas yra tik vienas iš šešių teisinių pagrindų. Antra, jeigu paskelbta informacija yra neteisinga ir žeminanti,…
Skaityti daugiau: Asmens duomenys paskelbti be sutikimo: ką daryti ir ko reikalautiVaiko nuotraukos mokyklos svetainėje ir „Facebook”: kada reikia abiejų tėvų sutikimo ir kaip jį atšaukti
Jei vienas iš tėvų aiškiai nepritaria vaiko nuotraukų viešinimui, mokyklai jų viešinti nevertėtų, net jei kitas sutikimą būtų davęs. Sutikimą galima atšaukti bet kada ir nereikia aiškinti kodėl. Atšaukimas veikia į ateitį, bet kartu atsiranda pagrindas reikalauti ištrinti tai, kas jau paskelbta. O jei mokykla į prašymą apskritai neatsako, tai jau savarankiška problema, nes pareigą atsakyti nustato BDAR 12 str. Žemiau atsakyta į keturis klausimus apie vaiko nuotraukas mokykloje. Jie…
Skaityti daugiau: Vaiko nuotraukos mokyklos svetainėje ir „Facebook”: kada reikia abiejų tėvų sutikimo ir kaip jį atšauktiPateikiau skundą Valstybinei duomenų apsaugos inspekcijai — per kiek laiko gausiu atsakymą
Apie skundo nagrinėjimo pažangą arba rezultatus institucija turi pranešti ne vėliau kaip per 3 mėnesius nuo skundo gavimo — tai nustato ADTAĮ 30 str. 1 d. Pats skundas turi būti išnagrinėtas ir atsakyta per 4 mėnesius (ADTAĮ 30 str. 2 d.). Jei klausimas sudėtingas, terminas pratęsiamas, bet ne ilgiau kaip 2 mėnesiams, ir bendras terminas negali būti ilgesnis negu 6 mėnesiai. Apie pratęsimą jums turi būti pranešta. Tai yra visi…
Skaityti daugiau: Pateikiau skundą Valstybinei duomenų apsaugos inspekcijai — per kiek laiko gausiu atsakymąPoveikio duomenų apsaugai vertinimas: iš ko jis susideda, kiek trunka ir kiek darbo pareikalaus iš jūsų
Poveikio duomenų apsaugai vertinimas, trumpiau PDAV, mūsų vertinimu, užtrunka iki trijų savaičių. Didžiąją dalį darbo atlieka ne jūs: pateikiamas klausimynas, kurį gali užpildyti vienas arba keli darbuotojai, todėl procesas nereikalauja didelio administracijos įsitraukimo. Rezultatas yra dokumentas, kuriame pasakyta, ar planuojama operacija kelia didelį pavojų žmonių teisėms ir laisvėms, ir ką reikia padaryti, kad nekeltų. Šis puslapis neatsako į klausimą, kada vertinimas privalomas — tai atskira tema. Jis atsako, kas vertinimą…
Skaityti daugiau: Poveikio duomenų apsaugai vertinimas: iš ko jis susideda, kiek trunka ir kiek darbo pareikalaus iš jūsųKur turi kabėti lentelė apie vaizdo stebėjimą — prie įėjimo į pastatą neužtenka
Viena lentelė prie pagrindinio įėjimo į pastatą reikalavimų neatitinka. Informacija apie vaizdo stebėjimą turi būti matoma prieš patenkant į kiekvieną konkrečią stebimą patalpą ar teritoriją, o ne tik įeinant į pastatą. Ženklas kabinamas maždaug akių lygyje, kad žmogus dar prieš įeidamas suprastų, jog bus filmuojamas, ir galėtų įvertinti, ką kamera mato. O darbuotojams ženklo neužtenka iš viso: juos reikia informuoti pasirašytinai. Žemiau — iš ko tai išplaukia ir ką konkrečiai…
Skaityti daugiau: Kur turi kabėti lentelė apie vaizdo stebėjimą — prie įėjimo į pastatą neužtenkaKokios baudos realiai gresia valstybės ar savivaldybės įstaigai už BDAR pažeidimą
Antraštė „iki 20 mln. Eur" valstybės ir savivaldybės įstaigoms netaikoma. Lietuvoje joms galioja atskiros, gerokai žemesnės ribos, ir jos nustatytos įstatyme. ADTAĮ 33 str. 1 d. nustato, kad valdžios institucijai ar įstaigai už BDAR 83 str. 4 d. a, b ir c punktų pažeidimus skiriama bauda iki 0,5 procento einamųjų metų biudžeto ir kitų praėjusiais metais gautų bendrųjų metinių pajamų, bet ne didesnė negu trisdešimt tūkstančių eurų. ADTAĮ 33 str.…
Skaityti daugiau: Kokios baudos realiai gresia valstybės ar savivaldybės įstaigai už BDAR pažeidimąKiek laiko saugoti asmens duomenis, kai įstatymas termino nenustato
Daugumai duomenų, kuriuos tvarko įprasta organizacija, konkretaus saugojimo termino įstatyme nėra. Yra principas: BDAR 5 str. reikalauja saugoti duomenis ne ilgiau, nei reikia tikslams, dėl kurių jie tvarkomi. Terminą nustato pati organizacija, ir ji turi mokėti paaiškinti, kodėl būtent tiek. Tai nėra spraga. Tai yra pareiga nuspręsti ir tą sprendimą užrašyti — BDAR 30 str. 1 d. f p. reikalauja, kai įmanoma, saugojimo terminus nurodyti duomenų tvarkymo veiklos įrašuose, o…
Skaityti daugiau: Kiek laiko saugoti asmens duomenis, kai įstatymas termino nenustatoKiek kainuoja išorinio duomenų apsaugos pareigūno paslauga ir kas į kainą įeina
Duomenų apsaugos pareigūno paslauga apmokama fiksuota mėnesine suma. Kainą lemia ne darbuotojų skaičius, o klausimų srautas: įstaiga, tvarkanti sveikatos ar vaikų duomenis, per metus sugeneruoja daugiau situacijų nei tokio pat dydžio įmonė, tvarkanti tik personalo ir tiekėjų duomenis. Atskirai nuo mėnesinės paslaugos apmokamas pradinis auditas su dokumentų paketu. Konkrečią sumą atsiunčiame per kelias darbo dienas, o jei jos reikia viešųjų pirkimų planui — tą pačią dieną ir be klausimyno. Tai…
Skaityti daugiau: Kiek kainuoja išorinio duomenų apsaugos pareigūno paslauga ir kas į kainą įeinaKameros daugiabutyje ir kieme: kas gali žiūrėti įrašus, o kas negali
Trumpas atsakymas: įrašus gali žiūrėti tas, kas už juos atsako, ir tik tiek, kiek reikia konkrečiam tikslui. Bendrijos pirmininkas, valdybos narys ar kaimynas, kuris „norėtų pasižiūrėti", į šį ratą nepatenka — net tada, kai kameros nupirktos už bendras lėšas. Šis puslapis atsako į du klausimus: ar bendrijos vadovybė gali turėti tiesioginę prieigą prie kamerų ir ar privatus žmogus gali gauti parduotuvės kameros įrašą. Kai stebėjimą vykdo apsaugos įmonė Į mus…
Skaityti daugiau: Kameros daugiabutyje ir kieme: kas gali žiūrėti įrašus, o kas negaliIš ko susideda BDAR dokumentų paketas ir kodėl jį rengiame tik po audito
Atitiktį įrodantys dokumentai skirstomi į du rinkinius. Išoriniai skelbiami viešai ir skirti išoriniams duomenų subjektams. Vidiniai reglamentuoja procedūras organizacijos viduje, ir su jais reikia supažindinti darbuotojus bei pasilikti susipažinimo įrodymus. Paketas rengiamas ne pirmas. Pirmas yra auditas, kurio metu inventorizuojami visi tvarkomi duomenys ir nustatoma, kurios BDAR pareigos organizacijai iš tikrųjų taikomos. Priežastis praktinė, ir ją verta pasakyti atvirai: dokumentai, parengti neatlikus audito, aprašo ne tą organizaciją. Jie atrodo tvarkingai,…
Skaityti daugiau: Iš ko susideda BDAR dokumentų paketas ir kodėl jį rengiame tik po auditoKodėl darbuotojo sutikimas tvarkyti jo duomenis beveik niekada negalioja
Sutikimas galioja tik tada, kai duotas laisva valia. Darbuotojas yra teisiškai ir ekonomiškai priklausomas nuo darbdavio, todėl jo sutikimas laisvu laikomas retai. Išimtis siaura: sutikimas gali galioti tada, kai jis toks mažareikšmis, kad niekam nekiltų abejonių dėl laisvos valios jį duodant ir dėl galimybės jį atšaukti be jokių neigiamų pasekmių. Praktinė išvada nemaloni darbdaviui, kuris nori „viską susitvarkyti vienu parašu": sutikimo priedas prie darbo sutarties dažniausiai ne apsaugo, o sukuria…
Skaityti daugiau: Kodėl darbuotojo sutikimas tvarkyti jo duomenis beveik niekada negaliojaAr mūsų organizacijai privalomas duomenų apsaugos pareigūnas — ir kas būna, kai jį paskiriame „iš savų”
Dažnu atveju privačiai bendrovei duomenų apsaugos pareigūno skirti nereikia. BDAR 37 str. 1 d. nustato tris atvejus, kai paskyrimas privalomas, ir įprasta prekybos, gamybos, IT ar paslaugų įmonė nė vieno iš jų netenkina. Personalo apskaita, buhalterija, klientų sąrašas ir vaizdo kameros prie įėjimo pareigos nesukuria. Jeigu esate privati bendrovė ir jums niekas nepaaiškino, kuris iš trijų atvejų jums taikomas, tikėtina, kad nė vienas. Tai nėra atsakymas, kurio tikimasi iš duomenų…
Skaityti daugiau: Ar mūsų organizacijai privalomas duomenų apsaugos pareigūnas — ir kas būna, kai jį paskiriame „iš savų”Sutikimas tvarkyti asmens duomenis įsigaliojus Bendrajam duomenų apsaugos reglamentui
2018 m. gegužės 25 d. įsigalios naujasis duomenų apsaugos reglamentas (toliau – BDAR), pakeisiantis direktyvą 95/46/EB, kuris nustato griežtesnius reikalavimus asmens duomenų tvarkymui. Pagrindai, kuriems esant, bus leidžiama tvarkyti asmens duomenis įsigaliojus BDAR patys savaime mažai kuo skiriasi nuo šiuo metu galiojančių ir direktyvoje 95/46/EB numatytų pagrindų. Vienas iš kelių dažniausiai naudojamų pagrindų yra, ir greičiausiai išliks, duomenų subjekto sutikimas, kad jo asmens duomenys būtų tvarkomi, tad šiame straipsnyje bus…
Skaityti daugiau: Sutikimas tvarkyti asmens duomenis įsigaliojus Bendrajam duomenų apsaugos reglamentuiKą daryti su seniau gautais sutikimais prieš įsigaliojant Bendrajam duomenų apsaugos reglamentui
Nors daugumai duomenų valdytojų yra aišku, kad Bendrojo duomenų apsaugos reglamento (toliau – BDAR) įsigaliojimas įneš pokyčių į tai, kaip turės būti gaunami duomenų subjektų sutikimai po jo įsigaliojimo, daugumai yra neaišku, ką daryti su tais asmenimis, kurių sutikimas tvarkyti duomenis jau yra gautas, t.y. ar bus privaloma iš naujo gauti sutikimus duomenų tvarkymui, ar anksčiau duoti sutikimai liks galioti. Tais atvejais, kai duomenų subjekto duomenys yra tvarkomi sutikimo pagrindu,…
Skaityti daugiau: Ką daryti su seniau gautais sutikimais prieš įsigaliojant Bendrajam duomenų apsaugos reglamentuiKą derėtų žinoti apie duomenų apsaugos pareigūną
2018 m. gegužės 25 d. įsigaliosiančio Bendrojo duomenų apsaugos reglamento (toliau – BDAR) viena iš „naujovių“ yra duomenų apsaugos pareigūnas. Visų pirma verta paminėti, kad tai nėra visiška naujovė. Duomenų apsaugos direktyva numato ES valstybėms narėms galimybę supaprastinti reikalavimą pranešti apie duomenų tvarkymą priežiūros institucijai arba atleisti nuo jo, kai duomenų valdytojas yra paskyręs duomenų apsaugos pareigūną. Taip pat, dabartinis duomenų apsaugos reguliavimas leidžia ES valstybėms narėms pasirinkti, kas atliks išankstinės duomenų…
Skaityti daugiau: Ką derėtų žinoti apie duomenų apsaugos pareigūną6 žingsniai, kuriuos būtina atlikti siekiant pasirengti naujajam duomenų apsaugos reglamentui
Kaip žinia, nuo 2018 m. gegužės 25 d. pradės būti taikomas Bendrasis duomenų apsaugos reglamentas (toliau – BDAR). Šis reglamentas, daugiau ar mažiau, palies visas įmones, kadangi visos bendrovės tvarko tam tikrų asmenų duomenis, pvz.: klientų, interneto puslapio lankytojų ar darbuotojų. Kadangi iki gegužės 25 d. lieka vis mažiau laiko, daugumai bendrovių kyla klausimas, ką reikia padaryti, kad būtų tinkamai pasiruošta reglamento taikymui. Atsižvelgiant į tai, toliau bus pateikiami svarbiausi…
Skaityti daugiau: 6 žingsniai, kuriuos būtina atlikti siekiant pasirengti naujajam duomenų apsaugos reglamentuiKeturi žingsniai, kuriuos būtina atlikti prieš pradedant tvarkyti asmens duomenis
Bendrovės savo veikloje dėl įvairių priežasčių kaupia bei naudoja asmens duomenis. Tai gali būti darbuotojų, klientų, interesantų ar kitų asmenų kategorijų asmens duomenys, tačiau tokie veiksmai su asmens duomenimis turi atitikti įstatymo keliamus reikalavimus. Tai ypač aktualu artėjant Bendrojo duomenų apsaugos reglamento (toliau – BDAR) įsigaliojimui, kuris ženkliai padidina baudas už asmens duomenų apsaugos pažeidimus. Dažnai bendrovės pradėdamos kaupti asmens duomenis net nesusimąsto, kad toks asmens duomenų kaupimas yra reguliuojamas…
Skaityti daugiau: Keturi žingsniai, kuriuos būtina atlikti prieš pradedant tvarkyti asmens duomenisKą turėtumėte žinoti apie vaizdo stebėjimą darbovietėje
Vaizdo stebėjimas darbe yra paplitusi verslo praktika. Darbdaviai linkę naudoti vaizdo kameras įvairiuose įmonės veiklos procesuose, net nesusimąstant apie darbuotojų teises. Taigi, artėjant Bendrojo duomenų apsaugos reglamento (Reglamento) įsigaliojimo dienai, reikšminga atkreipti dėmesį į keletą aspektų, susijusių su vaizdo stebėjimu darbe. Įsitikinkite, kad vaizdo stebėjimui turite nusistatę duomenų tvarkymo tikslą. 2018 m. gegužės 25 d. įsigaliosiantis Reglamentas, kaip ir šiuo metu galiojantis duomenų apsaugos reguliavimas, numato pareigą, kaupiant duomenis apie fizinius…
Skaityti daugiau: Ką turėtumėte žinoti apie vaizdo stebėjimą darbovietėje
